深度揭秘：储蓄卡被盗刷47万元，这背后发生了什么？

本文是储蓄卡被盗刷47万事件背后的原因解读。

（via：inarkansas.com）

事件回顾

昨日，雷锋网发布了一篇关于储蓄卡被盗刷47万的事情，这里简单列出几个要点，详细内容可以看霍炬文章，这里不做赘述。

（前两笔为盗刷的47万元，图片来自马月朋友圈）

事件要点如下：

1、马月从三亚回北京后收到两条POS机刷卡短信，是江西上饶，共47万；

2、储蓄卡还在马月手里，卡应该是被复制了；

3、马月立即打电话给银行被告知下班了不能处理，得等周一（没能及时冻结这笔交易）；

4、POS机刷走这么大笔钱，难道没有限额吗？

补充：POS机刷卡不是实时结算，刷卡发生的时候，钱并没转到盗窃方的帐号，如果可以及时冻结这笔交易，本可避免损失。

事件分析

说实话一开始看到这个事件的时候，我是完全没有头绪的。为什么呢？因为可能性实在太多了，和大家想象里银行都应该是荷枪实弹戒备森严的情况不同，整个银行卡的支付环节，其实存在的问题太多了。我们先来看一下整个事件的涉及环节。

首先看盗卡过程，盗卡过程并不是很清楚，最可能的情况是之前在入住酒店的时候银行信息泄露了，整个过程中的环节包括：

储蓄卡->酒店前台人员->酒店POS机->收单行->发卡行

收单行是指向酒店提供POS机的银行或者机构（比如银联），目前我们不清楚这个过程中的收单行是谁。

上述环节全部可能出问题：

1、酒店前台人员可能快速记下了银行卡号并偷窥了六位数字密码

2、酒店POS机存在安全漏洞或者被替换了，会自动记录银行卡信息和密码

3、收单行或者通讯链路存在安全漏洞，卡号和密码在传输过程中被盗取

4、发卡行有内鬼，复制了用户的银行卡并且盗取了密码

实际上还存在其他的可能性，因为银行卡和密码的丢失很可能并不是上一次消费的结果（时间太短，不够盗刷集团做所有准备的），之前的某次不经意的操作的可能性更大，虽然受害者一直说没有泄露过银行卡的密码，但是我的理解应该是“没有主动泄露过”，如果在手机上操作过网银、使用过ATM机、或者使用的密码是跟自己的信息相关的，都有可能导致密码被盗。

我们再来看一下盗刷的过程，同样，盗刷也分为：

伪造的卡->商户收银->商户POS机->收单行->发卡行。

所有的这些环节都要出问题，盗刷才会成功，那么这些环节是为什么而出的问题呢？我们也来试着分析一下：

1、首先，为什么有了银行卡号就可以伪造一张一模一样的呢？

这是因为目前我国的大部分银行卡都采用磁条卡，卡片的信息相当于是明文写在磁条里的，并没有做什么加密的措施，所以只需要有一台制卡设备，就能够复制。这几年国家开始大力推广芯片卡，芯片卡的安全级别比磁条卡高很多，也不太容易被复制，但是为了兼容过去的旧设备，所有的芯片卡都支持磁条，这就意味着除非你在支持芯片卡的POS机上使用，而且卡片没有离手，否则芯片卡一样可以被复制磁条。

2、其次，商户为什么不去检查伪造的卡？

理论上来说商户有检查银行卡真伪的义务，然而实际操作中，由于商户的人员不具备专业知识，也没有访问银行数据库的权限，同时，商户没有动力这样去做（影响用户体验），银行之间在收单POS机上竞争激烈，也不敢强迫商户这么去做，所以商户基本不会去检查银行卡的合法性，而是默认你有密码那就是合法用户。相对来说，在欧美进行大额消费时，商户往往会问客户要带有照片的身份证明，以确保不是盗刷。

3、那收单行能不能冻结该笔交易呢？

这要看实际情况，我们假设这个商户是完全合法的，比如是销售珠宝或者贵重物品的商店，那么收单行因为银行卡是伪造的就冻结或者取消该笔支付也是理由不充分的，由于商户是否有义务和能力去检查银行卡的真伪这个问题的不确定性，使得让商户承担盗刷的损失这件事情没有那么理直气壮。

当然实际上很多做类似事情的商户就是非法的或者灰色的，甚至存在帮助用户进行信用卡取现的商户，但是要证明这些商户违法，也是非常巨大的工作量，而重新申请一台POS机，则容易得多，而且收单行没有动力去帮助发卡行做这个操作（损害自己的客户去保护其他竞争对手的客户），就像前面说的，POS机竞争太大，银行不会去做这样的事情。

4、那么收单行/发卡行为什么不限制刷卡的上限？

首先，储蓄卡不是信用卡，发卡行是不能设限的（理论上你有多少钱就可以刷多少钱，不然用户也不干），除非用户自己在账户里设置了相应的限额，而收单行，则是根据商户的信用（实际上是根据很容易假造的交易流水）来确定商户POS机的限额。

比如一个卖豪华手表的商户，收单行要是设限额单笔3万，商户也没法玩，因此，如果盗卡者去一个信用较高的商户进行刷卡操作，确实很容易把几十万现金刷走，换句话说，就算有POS机限额，其实也不过是让盗刷者稍微麻烦了一点，因为多刷几个POS机一样可以把所有钱盗空。

5、发卡行为什么没有及时阻止？

根据我对银行流程的了解，当用户举报银行卡被大额盗刷后，银行方面的相关人员会立即行动，进行止损，包括且不仅限于：冻结银行卡且把该卡号列入黑名单，提取相关证据，通知相关的其他单位进行资金追查等等。

本次事件中，为什么银行服务中心的人员会说：“下班了，没办法处理？”

（编辑：应用网_丽江站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!